익스플로잇이 쉽고 공격의 효과도 꽤나 높은 취약점이 스마트 플러그 제품에서 나왔다. 이 제품은 유명하고 널리 판매되었기 때문에 파급력이 꽤 클 것으로 보인다. 하지만 패치는 나오지 않을 예정이다.

[보안뉴스 문정후 기자] 위모(Wemo)의 미니 스마트 플러그에서 물리적 피해를 일으킬 수 있는 취약점이 발견됐다. 위모 미니 스마트 플러그는, 어떤 장비든 원격에서 모바일 앱을 통해 제어할 수 있도록 해 주는 장치로, 이번에 발견된 취약점을 통해 공격자는 연결된 장비를 임의로 껐다가 켠다거나, 내부 네트워크 안으로 깊숙하게 침투한다거나 엉뚱한 장비를 등록시키는 등의 공격을 할 수 있게 된다고 한다.

[보안뉴스 / 5.18.] 위모 미니 스마트 플러그 제품 일부에서 위험한 취약점 나왔으나 패치 없어

[이미지 = gettyimagesbank]

스마트 플러그는 가정에서도 사용되고 산업 현장이나 기업 환경에서도 고루 사용되는 장비로, 일반 사물을 ‘사물인터넷’으로 바꿔준다는 개념을 가지고 있다. 와이파이 네트워크를 통해 공공 인터넷과도 연결이 되며, 이 덕분에 사용자는 원격에서 모바일 앱으로 제어할 수 있게 된다. 여기에 오래된 스탠드나 선풍기 등을 꼽으면 갑자기 모바일 제어가 가능한 스마트 장비가 된다. 위모 스마트 플러그는 알렉사, 구글 어시스턴트, 애플 홈키트와도 연동이 된다.

문제의 취약점은 CVE-2023-27217이며, 일종의 버퍼 오버플로우 취약점으로 분류가 가능하다. F7C063 모델에서 발견됐으며, 원격 명령 주입을 가능하게 한다고 보안 업체 스터넘(Sternum)은 발표했다. 스터넘은 제조사인 벨킨(Belkin)에 연락을 취했지만 해당 모델은 이미 생애주기가 끝나(즉 지원이 종료된 제품이라) 펌웨어 업데이트가 없을 거라고 알려 왔다.

“즉 취약한 장비가 곳곳에 설치되어 있으며, 고쳐지지 않을 거라는 뜻입니다.” 스터넘의 부회장 이갈 제이프만(Igal Zeifman)은 아마존에서 판매된 것만도 수십만 대라고 보고 있다. “그런 판매량이 전부 ‘공격 표면’이 되는 것이고, 그나마도 최소한으로 잡은 것이 그 정도입니다. 저희 회사에만 해도 세 대가 있어요. 이번 연구 조사 이후 전부 꺼두었습니다.”

그러면서 제이프만은 “만약 기업들에서 이번에 취약한 것으로 밝혀진 위모 스마트 플러그 모델을 사용하고 있다면 사용을 중단하거나 UPNP 포트를 인터넷에 연결시키지 말아야 한다”고 경고한다. “특히 해당 제품이 기업 환경 내에서 중요한 역할을 하고 있다면 얼른 새 제품으로 갈아타는 게 좋습니다.”

CVE-2023-27217?
이번에 발견된 취약점은 스마트 플러그의 펌웨어에서 이름이 처리되는 과정에서 발생한다. 새 제품을 막 상자에서 꺼낸 상태에서 이 스마트 플러그의 이름은 ‘Wemo mini 6E9’이다. 하지만 이 디폴트 이름은 사용자가 얼마든지 바꿀 수 있다. 펌웨어에서는 사용자가 이름을 바꿀 때를 대비하여 변수가 하나 마련되어 있는데, 이 변수의 이름은 FriendlyName이다. 사용자가 이름을 변경하면 펌웨어에서 이 변수가 바뀐다.

다만 여기에는 한 가지 제한 사항이 존재한다. 30자가 넘으면 안 된다는 것이다. 스터넘은 여기에서 고민을 하기 시작했다. “만약 강제로 30자 넘게 설정한다면 어떻게 되는 걸까요? 펌웨어에는 무슨 일이 벌어질까요?” 그래서 연구원들은 파이웨모(pyWeMo)라는 오픈소스 모듈을 사용해 강제로 이름을 30자 넘게 설정해 보았다고 한다. “일단 여기서 첫 번째 문제가 벌써 나타나죠. 펌웨어 코드로만 제한 사항을 설정해 두면 안 된다는 것입니다. 특히나 입력 값을 제한하려고 한다면 더 강력한 수단을 사용해야 합니다.”

30자 넘게 FriendlyName을 채우는 실험을 계속 진행한 연구원들은 이름이 80자보다 길어졌을 때 힙(heap)의 메타데이터가 잘못되기 시작함을 알 수 있었다. 그러면서 기계에서 이상 증상이 나타났다. “버퍼 오버플로우 현상이 나타났고, 메모리 영역이 재할당 되기 시작했습니다. 그러면서 디도스 공격도 할 수 있게 됐고, 메모리 영역을 임의로 제어해 정보를 유출할 수도 있었습니다. 커넥티드 장비 자체에 보안 기능이 탑재되어 있지 않으면 대단히 위험할 수 있다는 걸 드러내는 사례입니다.”

익스플로잇이 너무 쉬워
스터넘 측은 이번 연구 결과를 ‘개념 증명용 익스플로잇’ 형태로 공개하지 않기로 결정했다. 실제 공격 시나리오 역시 발표하지 않을 예정이다. “익스플로잇이 너무 쉽기 때문입니다. 저희가 그 어떤 정보라도 공개한다면 그 즉시 그것이 결정적 힌트가 될 수 있습니다. 위모 스마트 플러그가 너무나 많이 사용되고 있어 그 어떤 힌트도 위험하게 작용할 수 있어 아무 말도 하지 않으려 합니다.”

제이프만은 “위모의 클라우드 인프라 옵션을 통해서도 공격이 가능할 것으로 보인다”고 경고를 이어갔다. “위모 제품들은 클라우드 프로토콜도 탑재하고 있습니다. 모바일 앱으로 쉽게 제어하기 위함입니다. 아직 이 부분을 깊게 파고들지 않아 정확히 파악할 수는 없지만, 이 클라우드 기능을 경로로 삼아 공격을 감행하는 데 성공할 수 있을 것으로 보입니다.”

중요한 건 패치가 나오지 않을 거라는 점인데, 그렇다고 사용자들이 할 수 있는 일이 아주 없는 건 아니다. “공격에 성공하려면 공격자가 피해자와 같은 네트워크에 이미 접속해 있어야 합니다. 이 점을 잘 활용한다면 공격을 어렵게 만들 수 있습니다.” 그러면서 제이프만은 다음 두 가지를 권장했다.

1) 웨모 스마트 플러그 V2 UPNP 포트를 인터넷에 연결하지 않는다. 직접 연결이나 포트 포워딩 모두 허용하면 안 된다.
2) 스마트 플러그 V2가 매우 민감한 데이터나 시스템이 연결된 네트워크에 연결되어 있다면 플러그 제품을 망에서 따로 분리하는 게 좋다. 또한 분리된 상태에서 다른 민감한 데이터나 장비와 상호 잡속할 수 없도록 해야 한다.

3줄 요약
1. 유명 스마트 플러그 제품에서 각종 악성 행위 가능하게 하는 취약점 발견됨.
2. 문제는 이 장비가 너무 오래돼 제조사에서 패치를 하지 않을 계획이라는 것.
3. 이 때문에 사용자들은 망분리와 포트 설정을 다시 해야 함.
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>